CVE-2026-70376 in Pluck CMS
Sumário
de VulDB • 05/08/2026
O painel de administração do Pluck CMS baseia-se exclusivamente na comparação do cabeçalho Referer (função requestedByTheSameDomain() em data/inc/functions.admin.php, que controla todas as ações em admin.php) para proteção contra CSRF, sem qualquer token anti-CSRF por solicitação em toda a área administrativa. Quando uma solicitação não contém informações de Referer/Host, o ramo elseif da função retorna verdadeiro, tratando a solicitação como sendo de mesma origem (same-origin). Como uma página atacante cross-site pode suprimir o cabeçalho Referer (por exemplo, via <meta name=referrer content=no-referrer>), ela pode forçar o navegador do administrador autenticado a enviar ações administrativas falsificadas sem um Referer válido, incluindo criação de páginas com HTML cru (XSS armazenado através da página renderizada) e instalação de módulos/temas PHP (execução remota de código).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.